Hoe u gegevensbeveiliging en privacy in een hybride cloud kunt waarborgen - dummies

Hybride cloudproviders moeten zorgen voor de beveiliging en privacy van uw gegevens, maar u bent uiteindelijk verantwoordelijk voor de gegevens van uw bedrijf. Dit betekent dat industrie- en overheidsregelgeving die is opgesteld om persoonlijke en zakelijke informatie te beschermen, nog steeds van toepassing is, zelfs als de gegevens worden beheerd of opgeslagen door een externe leverancier.

De drie belangrijkste aandachtspunten met betrekking tot beveiliging en privacy van gegevens in de hybride cloud zijn

Locatie van uw gegevens
Beheer van uw gegevens
Beveiligd transport van uw gegevens

Het is belangrijk op te merken dat sommige deskundigen van mening zijn dat bepaalde soorten gegevens gewoon te gevoelig zijn voor de openbare / hybride cloud. Dit kunnen sterk gereguleerde gegevens zijn, zoals medische informatie. Anderen zijn van mening dat consumenten, als het juiste niveau van transparantie en controle kan worden geboden, kunnen worden beschermd. Wolken die gereguleerde gegevens hosten moeten voldoen aan compliance-vereisten zoals Payment Card Industry Data Security Standard (PCI DSS), Sarbanes-Oxley en HIPAA.

Ga voor meer informatie over beveiliging in de cloud naar de Cloud Security Alliance.

De locatie van gegevens in de cloud

Nadat gegevens naar de cloud zijn gegaan, hebt u mogelijk geen controle over waar deze is opgeslagen of hoe deze wordt gebruikt. Aan deze situatie kleven tal van problemen:

Specifieke wetten van het land: De beveiligings- en regelgevingswetten die gelden voor gegevens kunnen verschillen van land tot land. De wettelijke bescherming van uw eigen land is bijvoorbeeld mogelijk niet van toepassing als uw gegevens zich daarbuiten bevinden. Een buitenlandse overheid kan mogelijk toegang krijgen tot uw gegevens of u ervan weerhouden de volledige controle over uw gegevens te behouden wanneer u deze nodig hebt.
Gegevensoverdracht over landsgrenzen heen: Een wereldwijd bedrijf met dochterondernemingen of partners (of klanten overigens) in andere landen kan bezorgd zijn over de grensoverschrijdende overdracht van gegevens vanwege lokale wetten. Virtualisatie maakt dit een bijzonder moeilijk probleem, omdat de cloudprovider misschien ook niet weet waar de gegevens zich op een bepaald moment bevinden.
Secundair gebruik van gegevens: In openbare cloudsituaties zijn uw gegevens of metagegevens mogelijk kwetsbaar voor alternatief of secundair gebruik door de cloudserviceprovider. Zonder de juiste besturingselementen of servicelevelovereenkomsten, kunnen uw gegevens voor marketingdoeleinden worden gebruikt. Het kan worden samengevoegd met gegevens van andere organisaties voor dergelijk alternatief gebruik.

De controle over gegevens in de cloud

U hebt de term CIA Triad wel of niet gehoord.Nee, dit gaat niet over geheime operaties. CIA staat voor Vertrouwelijkheid , Integriteit en Beschikbaarheid . Deze drie kenmerken bevinden zich al een lange tijd in de wereld van auditing en beheerscontroles; ze zijn van cruciaal belang voor gegevens in de cloudomgeving om de volgende redenen:

Vertrouwelijkheid: Alleen geautoriseerde partijen met de juiste rechten hebben toegang tot bepaalde gegevens; dat wil zeggen, er is geen diefstal van de gegevens.
Integriteit: Gegevens kloppen en er is geen schadelijke software (of persoon) veranderd; dat wil zeggen, er is geen knoeien met de gegevens.
Beschikbaarheid: Netwerkbronnen zijn beschikbaar voor geautoriseerde gebruikers.

Deze drie kenmerken hebben rechtstreeks te maken met het besturen van gegevens. Besturingselementen omvatten het besturingsbeleid dat is ingesteld om te zorgen dat gegevens kunnen worden vertrouwd. De integriteit, betrouwbaarheid en vertrouwelijkheid van uw gegevens moeten onberispelijk zijn. Dit geldt ook voor cloudproviders.

U moet weten welk niveau van controle door uw cloudprovider wordt onderhouden en hoe deze controles kunnen worden gecontroleerd.

Hier volgt een overzicht van verschillende soorten besturingselementen die zijn ontworpen om de vertrouwelijkheid, integriteit en beschikbaarheid van uw gegevens te waarborgen:

invoervalidatie -besturingselementen om ervoor te zorgen dat alle gegevensinvoer naar elk systeem of elke toepassing volledig en nauwkeurig is, en redelijk.
Uitvoer afstemming controles om ervoor te zorgen dat gegevens kunnen worden afgestemd van invoer tot uitvoer.
Verwerkings besturingselementen om ervoor te zorgen dat gegevens volledig en nauwkeurig in een toepassing worden verwerkt.
Open de -instellingen om ervoor te zorgen dat alleen diegenen die gemachtigd zijn om toegang te krijgen tot de gegevens dit kunnen doen. Gevoelige gegevens moeten ook worden beschermd tijdens opslag en overdracht. Encryptie kan hierbij helpen.
Re-identificatie (het proces waarbij geanonimiseerde persoonlijke gegevens worden vergeleken met de werkelijke eigenaar ervan) zorgt ervoor dat codes op een afzonderlijke locatie worden bewaard om ongeautoriseerde toegang tot heridentificatie-informatie te voorkomen.
Beheer wijzigen om ervoor te zorgen dat gegevens niet kunnen worden gewijzigd zonder de juiste autorisatie.
Besturing van gegevensvernietiging zorgt ervoor dat wanneer gegevens permanent worden verwijderd, deze overal worden verwijderd - inclusief alle back-up- en redundante opslaglocaties.

Het concept van besturingselementen in de cloud is zo belangrijk dat de Cloud Security Alliance een lijst heeft samengesteld met meer dan 100 besturingselementen, de Cloud Controls Matrix (CCM), om cloudleveranciers te begeleiden en potentiële cloudklanten te helpen bij het beoordelen van het algehele risico van de provider.

Uw bedrijf moet een consistente set regels en beleid ontwikkelen en publiceren met betrekking tot het maken, vastleggen, beheren, verzenden, openen, opslaan en verwijderen van vertrouwelijke en bedrijfskritieke gegevens. Gebruik technieken zoals codering en tokenisatie om de blootstelling aan gegevensdiefstal en misbruik te verminderen.

Het veilige transport van gegevens in de cloud

Stel dat u hebt besloten sommige van uw gegevens naar de cloud te verplaatsen. Houd bij het transport van gegevens rekening met twee dingen:

zorg ervoor dat niemand uw gegevens kan onderscheppen terwijl deze van punt A naar punt B in de cloud worden verplaatst.
Zorg ervoor dat er geen gegevens lekken (kwaadwillend of anderszins) van opslag in de cloud.

In de hybride cloud kan de reis van punt A naar punt B op een aantal manieren plaatsvinden: in een cloudomgeving, via het openbare internet tussen een onderneming en een cloudprovider, of zelfs tussen clouds.

Het beveiligingsproces kan het scheiden van uw gegevens van de gegevens van andere bedrijven omvatten en deze vervolgens coderen met een goedgekeurde methode. Daarnaast wilt u misschien de beveiliging van oudere gegevens beveiligen die bij een cloudverkoper blijven achterblijven nadat u deze niet langer nodig hebt.

Een virtueel particulier netwerk (VPN) is een manier om de beveiliging van gegevens tijdens het transport in een cloudomgeving te beheren. Een VPN maakt het openbare netwerk in feite uw eigen privénetwerk in plaats van een speciale verbinding te gebruiken. Een goed ontworpen VPN moet twee dingen bevatten:

A firewall om te fungeren als een barrière tussen het openbare internet en elk privénetwerk
Encryptie om uw gevoelige gegevens tegen hackers te beschermen; alleen de computer waarnaar u het verzendt, moet de sleutel hebben om de gegevens te decoderen

Naast transport, in een hybride wereld, zijn er ook contactpunten tussen uw gegevens en de cloud. Daarom is het belangrijk om te gaan met de opslag en het ophalen van deze gegevens.